Hacker nutzen WordPress-Core-code to be run remotely-Lücke in über Angriffsversuchen aus

Was passiert ist

Angreifer haben mehr als 240.000 Exploit-Versuche (ein Stück Code, das eine Schwachstelle in einen Zugang verwandelt) gegen eine Schwachstelle im Upgrade-Prozess des WordPress-Core (Content-Management-System) gestartet, die eine unauthentifizierte Remote Code Execution (das Ausführen von Programmen auf einem Rechner von außen) ermöglichen kann. Wordfence-Forscher István Márton berichtete, dass die gezielten Angriffe am 28. Oktober 2026 begannen.

Die Remote Code Execution über den gestaffelten Installer setzt voraus, dass Angreifer während eines laufenden Upgrades auf temporäre Installationsdateien zugreifen können.

Die Ursache ist eine Time-of-Check/Time-of-Use-Race-Condition (ein Wettlaufproblem zwischen Prüfung und Nutzung) mit vorhersehbaren, webzugänglichen Staging-Verzeichnissen, die bei vollständigen Core-Upgrades angelegt werden. Diese Verzeichnisse enthalten ausführbare Installer-Komponenten unterhalb von /wp-content/upgrade/.

WordPress 7.1.4 führt eine Randomisierung der Staging-Verzeichnisse, einen Index-Schutz sowie Einschränkungen gegen die unsichere Übernahme gestagter Konfigurationsdaten ein, wodurch die Möglichkeiten zum Missbrauch des Installers sinken. Beobachtete Anfragen zielten auf Pfade wie /wp-content/upgrade/wordpress-6.9.11/setup-config.php, mit dem Versuch, Websites abzufangen, während Installer-Dateien weiterhin erreichbar waren.

Die als CVE-2026-119977 (die öffentliche Katalognummer für eine bestimmte Softwareschwachstelle) geführte Lücke mit hohem Schweregrad hat einen CVSS-Wert von 8,1 und betrifft ungepatchte Versionen von WordPress 4.7 bis 7.1.3.